CVE-2024-50945

October 2, 2024: 脆弱性を発見し、SimplCommerceに報告。
October 8, 2024: ベンダーにフォローアップメールを送信。
October 11, 2024: CVE IDのリクエストをMITREに提出。
October 15, 2024: ベンダーが最初の報告に返信。
November 14, 2024: MITREによってCVE IDが割り当てられました。
December 21, 2024: 影響を受けるバージョンがベンダーによってパッチされました。
December 24, 2024: 脆弱性の公開開示。

説明

SimplCommerceは、レビューシステムにおける壊れたアクセス制御の脆弱性の影響を受け、購入していない製品に対してレビューを投稿することを許可しています。

攻撃者は、レビュー送信エンドポイントにリクエストを送信し、EntityIdを購入していない製品のIDに変更することで、この脆弱性を検出できます。レビューが正常に投稿された場合、ウェブサイトが壊れたアクセス制御の脆弱性に対して脆弱であることが確認されます。

230310c8d7a0408569b292c5a805c459d47a1d8f commit